Eine neue Darknet-Plattform namens Nexus behauptete, 153 Millionen Scans von Führerscheinen sowie Millionen anderer Ausweis- und Gesundheitskarten zu verkaufen.
Berichten zufolge umfasste die Sammlung mehr als 153 Millionen Führerscheine, 10 Millionen Personalausweise, 3 Millionen Reisedokumente und 579.000 medizinische Karten, darunter auch Karten für Marihuana-Apotheken.
Die von KrebsOnSecurity gemeldete Fülle an Führerscheinscans ist eine deutliche Erinnerung daran, dass die Identitätsprüfung keine harmlose Formalität ist.
Das FBI-Büro in New Orleans hat Ermittlungen wegen eines mutmaßlichen Sicherheitsverstoßes beim Identitätsprüfungsanbieter IDScan.net eingeleitet. Das Unternehmen gab an, den Fall zu untersuchen.
IDScan.net wirbt mit folgender Formulierung:
„Wir bieten einfache und sichere Lösungen, die Apotheken dabei helfen, Haftungsrisiken zu reduzieren und ihre Lizenzen zu schützen, indem wir Ausweise, einschließlich des Alters eines Kunden, innerhalb von Sekunden überprüfen.“
Die angeblich offengelegten Datensätze waren besonders besorgniserregend, da einige mehr als nur ein einfaches Foto eines Ausweises enthielten. KrebsOnSecurity fand Datensätze mit Vorder- und Rückseitenbildern sowie Infrarot- und Ultraviolettscans und Zeitstempeln, die offenbar mit den Reise- oder Mietwagenaktivitäten der Inhaber übereinstimmten.
Das ist wichtig, denn ein Führerschein ist für Identitätsdiebe viel wertvoller als ein Passwort. Ein Passwort lässt sich zurücksetzen. Gesicht, Geburtsdatum, Adresse oder Führerscheinnummer hingegen lassen sich nicht so einfach ersetzen, insbesondere nicht, wenn hochauflösende Bilder Ihres amtlichen Ausweises vorliegen.
Das Problem der Altersverifizierung
Die Altersverifizierung ist mittlerweile eine gängige Begründung dafür, Menschen aufzufordern, einen Ausweis hochzuladen, ein Selfie zu machen oder beides an einen externen Identitätsverifizierungsanbieter zu übermitteln.
Wir haben bereits vor den Risiken für Datenschutz und Sicherheit bei Altersverifizierungssystemen gewarnt , insbesondere bei solchen, die die Vorlage von Kopien amtlicher Ausweisdokumente erfordern. Solche Systeme können aus einer Anfrage zum Zugriff auf eine Website die Entscheidung machen, ein dauerhaftes Ausweisdokument mit einem Unternehmen zu teilen, von dem der Nutzer möglicherweise noch nie gehört hat.
Unserer Ansicht nach stellt dies ein unverhältnismäßiges Risiko dar. Sobald jemand einen Ausweis hochlädt, kann der Dienst oder dessen Anbieter den Besuch potenziell mit seiner Identität verknüpfen. Im Falle eines Datenlecks können die Folgen weit über unerwünschte Werbung oder die Offenlegung einer E-Mail-Adresse hinausgehen.
Der gemeldete Nexus-Datensatz verdeutlicht ein umfassenderes Problem: Identity Dokumente werden an vielen Orten gesammelt, die möglicherweise nicht miteinander in Verbindung stehen. Jede einzelne Sammlung mag als Routinevorgang erscheinen, doch zusammen bilden sie ein ständig wachsendes Ökosystem aus Organisationen, Auftragnehmern, Softwareplattformen, Cloud-Diensten und Datenschutzrichtlinien.
Gesichtsbilder und Ausweiskopien können wiederverwendet werden. Kriminelle nutzen sie, um Betrugsversuche überzeugender zu gestalten, schwache Identitätsprüfungen zu umgehen oder detaillierte Opferprofile aus Daten zu erstellen, die aus verschiedenen Datenlecks stammen. Ein Angreifer, der Ihren Namen, Ihre Adresse, Ihr Geburtsdatum, Ihre E-Mail-Adresse und Ihre Führerscheindaten kennt, verfügt über eine wertvolle Grundlage für Betrug.
Deshalb sollte „Wir müssen nur Ihr Alter überprüfen“ nicht automatisch bedeuten „Bitte laden Sie Ihren Führerschein“ oder eine andere Form des Ausweises hoch.
Wie man sicher bleibt
Wenn für die Nutzung eines Online-Dienstes eine Identitätsprüfung erforderlich ist, sollten Sie sich folgende grundlegende Frage stellen: Warum benötigt dieses Unternehmen eine Kopie meines Ausweisdokuments, und was geschieht anschließend damit? Der Umfang der Daten, die Berichten zufolge über Nexus angeboten werden, verdeutlicht, warum die Antwort darauf so wichtig ist.
Verbraucher können eine Identitätsprüfung nicht immer ablehnen, insbesondere wenn diese gesetzlich vorgeschrieben oder für eine regulierte Dienstleistung erforderlich ist. Sie können jedoch unnötige Kontakte reduzieren:
- Fragen Sie, ob ein Ausweisbild gespeichert wird und, falls ja, wie lange.
- Prüfen Sie, ob das Unternehmen einen externen Anbieter für die Identitätsprüfung nutzt.
- Bevorzugen Sie Dienste, die eine datenschutzfreundliche Altersprüfung anbieten, anstatt den Upload eines vollständigen Ausweisdokuments zu verlangen.
- Vermeiden Sie es, Ausweisdokumente auf Websites einzureichen, denen Sie nicht vertrauen oder die Sie nicht nutzen wollten.
- Senden Sie Kopien von Ausweisdokumenten nicht per E-Mail, es sei denn, es gibt keine sicherere Alternative und Sie haben den Empfänger unabhängig überprüft.
- Seien Sie wachsam gegenüber Phishing-Angriffen, Betrugsversuchen zur Kontowiederherstellung und betrügerischen Kreditanträgen, wenn Sie glauben, dass Ihre Identität kompromittiert worden sein könnte.
- Ziehen Sie gegebenenfalls eine Kreditsperre in Betracht.
Seien wir ehrlich: Ein Inkognito-Fenster hat seine Grenzen.
Datenlecks, Handel im Dark Web, Kreditbetrug. Malwarebytes Identity Theft überwacht all das, benachrichtigt Sie umgehend und beinhaltet eine Versicherung gegen Identitätsdiebstahl.
